Sicherheit und Berechtigungen - AWS Lambda
Wichtige SicherheitskonzepteErforderliche BerechtigungenBewährte MethodenNächste Schritte

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Sicherheit und Berechtigungen

Lambda Managed Instances verwenden Kapazitätsanbieter als Vertrauensgrenzen. Funktionen werden in Containern innerhalb dieser Instanzen ausgeführt, aber Container bieten keine Sicherheitsisolierung zwischen Workloads. Alle Funktionen, die demselben Kapazitätsanbieter zugewiesen sind, müssen gegenseitig vertrauenswürdig sein.

Wichtige Sicherheitskonzepte

  • Kapazitätsanbieter: Die Sicherheitsgrenze, die Vertrauensstufen für Lambda-Funktionen definiert

  • Container-Isolierung: Container stellen keine Sicherheitsgrenze dar. Verlassen Sie sich nicht auf sie, wenn es um die Sicherheit zwischen nicht vertrauenswürdigen Workloads geht

  • Vertrauenstrennung: Trennen Sie Workloads, denen nicht gegenseitig vertraut wird, indem Sie unterschiedliche Kapazitätsanbieter verwenden

Erforderliche Berechtigungen

PassCapacityProvider Aktion

Benutzer benötigen die lambda:PassCapacityProvider Erlaubnis, Kapazitätsanbietern Funktionen zuzuweisen. Diese Genehmigung dient als Sicherheitsschleuse und stellt sicher, dass nur autorisierte Benutzer Funktionen bestimmten Kapazitätsanbietern zuweisen können.

Kontoadministratoren kontrollieren über die lambda:PassCapacityProvider IAM-Aktion, welche Funktionen bestimmte Kapazitätsanbieter nutzen können. Diese Aktion ist erforderlich, wenn:

  • Funktionen erstellen, die Lambda Managed Instances verwenden

  • Aktualisierung von Funktionskonfigurationen zur Verwendung eines Kapazitätsanbieters

  • Bereitstellung von Funktionen über die Infrastruktur als Code

Beispiel für eine IAM-Richtlinie

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "lambda:PassCapacityProvider",
      "Resource": "arn:aws:lambda:*:*:capacity-provider:trusted-workloads-*"
    }
  ]
}

Serviceverknüpfte Rolle

AWS Lambda verwendet die AWSServiceRoleForLambda serviceverknüpfte Rolle, um die ec2-Ressourcen von Lambda Managed Instances bei Ihren Kapazitätsanbietern zu verwalten.

Bewährte Methoden

  1. Nach Vertrauensstufe trennen: Erstellen Sie verschiedene Kapazitätsanbieter für Workloads mit unterschiedlichen Sicherheitsanforderungen

  2. Verwenden Sie aussagekräftige Namen: Benennen Sie Kapazitätsanbieter, um deren Verwendungszweck und Vertrauensstufe eindeutig anzugeben (z. B.,,production-trusted) dev-sandbox

  3. Least Privilege anwenden: Erteilen Sie PassCapacityProvider Berechtigungen nur für die erforderlichen Kapazitätsanbieter

  4. Nutzung überwachen: Wird verwendet AWS CloudTrail , um die Zuweisungen und Zugriffsmuster von Kapazitätsanbietern zu überwachen

Nächste Schritte